Utilice esta utilidad de Python desarrollada por CISA para detectar piratería en entornos de nube de Microsoft

El descubrimiento de vulnerabilidades en los entornos de nube de Microsoft no es exactamente infrecuente ( al igual que las plataformas en la nube desarrolladas por otros proveedores ). En el pasado, hemos visto vulnerabilidades críticas parcheadas en varios servicios de Azure, incluidos Azure Container Instances (ACI) , Azure Automation y Cosmos DB . Ahora, la Agencia de Infraestructura y Seguridad Cibernética de EE. UU. (CISA) ha recomendado el uso de una utilidad basada en Python para detectar vulnerabilidades específicamente en entornos de nube de Microsoft.

La utilidad en cuestión se denomina “Herramienta de ganso sin título” y se desarrolla en colaboración con los Laboratorios Nacionales Sandia del Departamento de Energía de EE. UU. La herramienta Untitled Goose puede ser útil para determinar signos de piratería en varios entornos de nube de Microsoft, incluidos Azure, Microsoft 365 y Azure Active Directory (AAD).

Aprovecha varias consultas de búsqueda sofisticadas y se puede usar junto con otras herramientas de detección y análisis de Microsoft para identificar signos de explotación. Sus capacidades se enumeran a continuación:

• Exporte y revise los registros de auditoría e inicio de sesión de AAD, el registro de auditoría unificado (UAL) de M365, los registros de actividad de Azure, las alertas de Microsoft Defender para IoT (Internet de las cosas) y los datos de Microsoft Defender para Endpoint (MDE) en busca de actividades sospechosas.
• Consulte, exporte e investigue las configuraciones de AAD, M365 y Azure.
• Extraiga artefactos de la nube de los entornos AAD, Azure y M365 de Microsoft sin realizar análisis adicionales.
• Realice la delimitación temporal de la UAL.
• Extraer datos dentro de esos límites de tiempo.
• Recopile y revise datos utilizando capacidades de límite de tiempo similares para datos MDE.

La herramienta Goose sin título se puede descargar desde el repositorio de GitHub aquí . Además de ofrecer instrucciones detalladas de instalación y uso, CISA también ha recomendado que la utilidad se ejecute en entornos virtuales.

Fuente: CISA vía BleepingComputer